Quando um grupo ransomware já controla as caixas de correio e o chat interno, cada mensagem trocada pela equipe de resposta entrega ao adversário o roteiro da contenção: quais sistemas serão isolados, quando a rede será desligada e quem cuida de cada frente. A orientação do guia conjunto da CISA para esse momento é direta — coordenar o isolamento e conduzir a comunicação da crise por métodos fora de banda, como ligações telefônicas. Este guia explica o que é um canal fora de banda, por que o e-mail corporativo não serve como canal de crise, como montar a alternativa antes do incidente e como incluir tudo isso no plano de comunicações exigido pelos guias oficiais.
O e-mail entrega o invasor
A premissa incômoda da resposta a incidentes é que o canal oficial pode estar comprometido — e, com ele, todo o histórico de conversas. Campanhas recentes mostram o padrão: a operação atribuída ao Integrity Tech roubou e-mails corporativos explorando acessos ao EWS, o serviço que aplicações usam para ler e trocar mensagens do Exchange, sem quebrar a caixa postal em si. Se as contas do CISO ou da direção de TI estão nesse conjunto, discutir contenção por e-mail equivale a enviar o plano de defesa ao atacante. O caso Integrity Tech rouba e-mails via EWS da Microsoft resume por que o correio corporativo não pode ser tratado como infraestrutura confiável durante um incidente ativo.
O risco tem nome: tipping off, a dica que a organização dá ao adversário. O guia conjunto #StopRansomware, construído com insight operacional da CISA, do MS-ISAC, da NSA e do FBI, descreve o comportamento: após o comprometimento inicial, atores maliciosos podem monitorar a atividade e as comunicações da organização para entender se suas ações foram detectadas. Se percebem a detecção, podem se mover lateralmente para preservar o acesso ou implantar o ransomware amplamente antes que a rede seja desligada. Por isso a recomendação é isolar sistemas de forma coordenada e usar comunicação fora de banda, para evitar entregar ao atacante a confirmação de que foi descoberto — e não dar tempo de o adversário antecipar o golpe final.
O que o guia recomenda
Além do momento da contenção, a orientação trata da preparação. O guia recomenda criar, manter e exercitar regularmente um plano de resposta a incidentes e um plano de comunicações associado, com procedimentos de resposta e notificação, aprovado por escrito pela liderança máxima da organização, com versão impressa e offline disponível. Dentro do plano de comunicações entram os procedimentos organizacionais e modelos prontos de declarações preliminares para incidentes cibernéticos (holding statements), com consenso prévio sobre qual nível de detalhe é apropriado compartilhar internamente e com o público. A lógica é reduzir decisões tomadas sob pressão: em crise, o time executa o que já foi decidido, aprovado e treinado.
O enquadramento normativo acompanha essa leitura. A revisão Rev. 3 do SP 800-61 do NIST, publicada em abril de 2025, usa a estrutura do Cybersecurity Framework (CSF) 2.0 e reforça enquadrar a resposta a incidentes na gestão de risco da organização, e não como procedimento isolado de TI. Na prática, isso significa que o canal de comunicação da crise é um controle de risco: precisa de dono, orçamento, teste periódico e métrica de funcionamento, como qualquer outro controle defensivo.
Canais fora de banda na prática
Canal fora de banda (out-of-band) é qualquer meio de comunicação que não depende da infraestrutura possivelmente comprometida: outro domínio, outro provedor de identidade e, idealmente, outro dispositivo. O objetivo não é sigilo absoluto — é remover a visibilidade imediata que o invasor tem sobre o ambiente que já controla. A tabela resume as opções e os cuidados de cada uma.
| Canal | Uso durante a crise | Cuidados essenciais |
|---|---|---|
| Ligação telefônica | Ativação da crise e decisões de contenção | Árvore de contatos impressa; números pessoais autorizados antes do incidente |
| Mensageria em tenant separado | Coordenação tática contínua da equipe de resposta | Conta fora do SSO corporativo; MFA; dispositivos não gerenciados pelo ambiente comprometido |
| Sala de crise física | Decisões de direção, jurídico e comunicação | Presença controlada; sem equipamentos dependentes da rede sob investigação |
| Comunicado externo | Clientes, reguladores e imprensa | Somente declarações aprovadas, por canal oficial verificado |
Regras de projeto: o canal precisa existir antes do incidente, ter dono definido, lista de participantes fechada e critério de ativação escrito — por exemplo, confirmação de comprometimento de e-mail ou decisão de isolamento de rede. Contas criadas às pressas durante a crise tendem a repetir o erro original: nascem autenticadas pelo mesmo provedor de identidade comprometido, no mesmo tenant e no mesmo dispositivo gerenciado. Se o SSO caiu junto com o incidente, o canal de crise cai com ele.
Continuidade com classificação
Comunicação fora de banda não substitui a comunicação externa. Ao compartilhar indicadores com o CERT.br, centros de resposta, parceiros e fornecedores, a classificação prévia da informação evita que conteúdo tático circule em canal aberto. O guia TLP: como classificar informação antes de compartilhar resume quando usar cada marca e o que pode circular em cada fórum. As duas frentes se complementam: o canal fora de banda protege a coordenação interna; a classificação protege a troca com o exterior.
Notificações obrigatórias seguem relógio próprio. Prazos regulatórios e deveres contratuais de aviso a clientes e reguladores não devem depender do canal tático — o plano de comunicações separa o que é coordenação da equipe, o que é documento interno e o que é comunicado externo aprovado, cada um com fluxo e responsável próprios.
Checklist antes da crise
- P1 — critério de ativação escrito: quem declara a crise, com base em quais evidências, e quem autoriza migrar a coordenação para o canal fora de banda.
- P1 — árvore de contatos offline: lista impressa com números pessoais autorizados previamente, guardada fora do domínio corporativo e verificada a cada ciclo.
- P1 — canal provisionado e testado: mensageria em tenant separado, sem SSO corporativo, com MFA e teste periódico de ativação com o grupo completo.
- P2 — exercício tabletop com queda do e-mail: cenário em que e-mail e chat estão comprometidos, para treinar a migração de canal em condições reais.
- P2 — declarações preliminares aprovadas: modelos revisados por jurídico e comunicação antes do incidente, prontos para adaptar e publicar.
- P2 — revisão pós-incidente: avaliar se o canal funcionou, quem faltou na ativação e o que corrigir, alimentando a próxima rodada do plano.
Erros que queimam o canal
Quatro falhas se repetem. Primeira: o canal alternativo autenticado pelo mesmo provedor de identidade do ambiente comprometido. Segunda: anunciar cronograma de contenção por e-mail — a mensagem mais útil para o atacante é justamente a que informa quando a rede será desligada. Terceira: misturar conversa tática, deliberação jurídica e comunicação externa no mesmo grupo, criando trilha que depois vira descoberta legal. Quarta: nunca ter testado — o primeiro uso do canal acontece durante o incidente, com a lista de contatos errada e o acesso travado.
Continuidade de comunicação é parte da continuidade do negócio. RTO e RPO medem sistemas; o canal fora de banda mede a capacidade de decidir enquanto os sistemas ainda não voltaram. Organizações que testam recuperação de backup sem testar comunicação de crise descobrem a lacuna no pior momento: com a equipe distribuída, o e-mail fora do ar e o invasor lendo tudo o que sobrou.